| 检查点 | 识别难度、一次性、绑定会话、失败联动 |
|---|---|
| 风险 | 可被 OCR/打码绕过 → 自动化放大 |
| 修复 | 滑块/行为验证结合服务端风控 |
检查清单
检查清单
验证码是否服务端生成且一次性失效
是否绑定会话与场景（防跨会话重放）
连续失败后的处置（换码/限速/锁定）
可访问性替代方案是否引入新风险验证码强度难以量化：以自动化测试工具在授权范围内做有限次数评估。
图形验证码强度检查
图形验证码是自动化防护的常见组件：检查其强度、服务端校验、失效策略，以及与风控的联动。
易错点
- 用打码平台批量验证“可绕过”，越界且无必要
- 忽略可访问性替代通道的安全设计
数据来源与参考
- OWASP Automated Threats
- OWASP ASVS V2